Un « VPN gratuit » qui tient ses promesses, c’est un tunnel chiffré, un DNS protégé, zéro pub injectée et pas une seule métadonnée revendue. Sur le papier, ça existe. Dans les faits, la quasi-totalité des applis estampillées VPN gratuit sur le Play Store tournent à l’envers : environ 93 % d’entre elles financent leurs serveurs avec des SDK publicitaires capables d’injecter du JavaScript et de réécrire des certificats TLS via un proxy local.
Traduction concrète : un intermédiaire déchiffre ton trafic HTTPS, le lit, puis le rechiffre. Le cadenas vert de Chrome ne bronche pas. Aucun avertissement. C’est exactement pour ça que la question « quel VPN choisir » ne se tranche pas avec un prix, mais avec un modèle économique et une histoire de propriété réseau.
Personne ne fait tourner des milliers de serveurs par philanthropie. Quand une appli gratuite affiche « 100 % gratuit, sans logs », il faut chercher la ligne de revenus ailleurs : revente de métadonnées, régie publicitaire intégrée, ou pire, proxy local qui casse la chaîne de confiance TLS.
Le point que les comparatifs de VPN gratuits oublient systématiquement : le danger n’est pas dans la politique de confidentialité affichée. Une politique de confidentialité, ça s’écrit en dix minutes. Ce qui compte, c’est qui possède l’ASN derrière l’IP de sortie.
Si cette IP appartient à un hébergeur générique, sans enregistrements RPKI valides et sans opérateur identifiable, tu n’utilises pas un service : tu loues ta connexion à un nœud de sortie instrumentalisé, prêt à être revendu à la demande.
Repérer un nœud de sortie douteux sans être ingénieur réseau
Un test simple avant de faire confiance à un tunnel : compare l’IP publique renvoyée par un test de fuite DNS avec celle de ton réseau sans VPN. Elles doivent différer en ASN, pas juste sur le dernier octet. Deux IP du même /24, c’est le signe classique d’un proxy local déguisé en VPN.
Deuxième réflexe : vérifie que le client que tu installes est signé par l’éditeur et pas par un certificat d’entreprise générique. Les boutiques d’applications laissent passer des paquets signés n’importe comment, et personne ne vérifie jamais l’empreinte de signature.
Un VPN gratuit qui survit plus de deux ans sans abonnement, sans pub et sans collecte de données n’existe pas. Si tu en trouves un, c’est que tu es la source de revenus et que tu ne l’as pas encore remarqué.
WireGuard a supprimé la seule excuse qui restait aux VPN gratuits
Pendant des années, on acceptait les risques d’un service gratuit parce qu’il était « plus rapide que rien ». Cet argument est mort. WireGuard, en 2026, atteint des débits natifs avec une surcharge minuscule, et la différence de latence entre un tunnel auto-hébergé sur une instance gratuite d’Oracle Cloud et un service commercial premium tombe sous les 4 ms dans les régions avec peering direct.
Le binaire officiel se télécharge sur wireguard.com, jamais depuis une boutique d’applications qui resignerait le paquet. Tu génères ta paire de clés, tu configures ton interface, et tu gardes la main sur le point de sortie.
Détail qui trahit beaucoup de configurations : le paramètre PersistentKeepalive. À 25 secondes, il n’a de sens que derrière un NAT symétrique. Sur un réseau domestique classique en NAT à cône complet, laisse-le à 0, sinon tu génères du trafic de sondage régulier qui signale l’existence de ton tunnel à l’opérateur d’accès.
VPN gratuit contre VPN payant : ce qui change réellement
Le débat « VPN gratuit vs VPN payant » est mal posé. La vraie différence n’est pas le prix, c’est la capacité à financer une infrastructure sans monétiser l’utilisateur. Sécurité auditée, protocoles modernes, réseau dense, support réactif : tout ça coûte de l’argent, et quelqu’un doit le payer.
- Chiffrement : AES-256 ou ChaCha20 côté payant, chiffrement partiel voire inexistant côté gratuit.
- Serveurs : réseau saturé et limité en localisations contre des milliers de serveurs mondiaux.
- Vitesse : bridée volontairement pour pousser à l’abonnement, contre un débit proche de ta connexion de base.
- Streaming : Netflix, Max ou BBC iPlayer bloquent la plupart des IP gratuites déjà blacklistées.
- Audits : les politiques de non-conservation des logs réellement vérifiées par un tiers se comptent sur les doigts d’une main, et jamais chez un gratuit.
Comment choisir un VPN sécurisé : la checklist qui ne pardonne pas
Trois critères suffisent à éliminer 90 % des offres. D’abord la juridiction : un fournisseur basé dans un pays avec des lois de protection des données solides résiste mieux aux demandes gouvernementales qu’une société logée dans une zone grise.
Ensuite la technique : AES-256 ou ChaCha20, un kill switch qui coupe réellement la connexion à la moindre déconnexion du tunnel, et des protocoles modernes comme WireGuard ou OpenVPN. Le PPTP, à oublier définitivement, ses faiblesses sont exploitées depuis des années.
Enfin l’entretien : un client VPN non mis à jour devient une porte d’entrée. Les vulnérabilités corrigées sur les versions récentes sont activement exploitées sur les anciennes, souvent dans les jours qui suivent la publication du correctif.
Extension VPN pour Chrome : pratique, mais le périmètre est minuscule
L’extension VPN pour navigateur séduit parce qu’elle s’installe en deux clics. Le problème, c’est sa portée : elle chiffre uniquement le trafic du navigateur. Ton client mail, tes jeux, tes applis de bureau et tes mises à jour système continuent de sortir en clair, avec ton IP réelle.
Quand on cherche quel VPN choisir pour Chrome, les noms qui reviennent le plus sont Proton VPN, Windscribe, NordVPN, ExpressVPN, Surfshark et TunnelBear. Proton VPN propose une extension gratuite crédible avec un vrai historique en matière de confidentialité. Windscribe bloque pub et traqueurs mais plafonne les données. Les autres prennent tout leur sens si tu as déjà un abonnement, notamment grâce à la protection contre les fuites WebRTC.
Mon avis tranché : une extension seule ne protège rien de sérieux. Elle complète un tunnel système, elle ne le remplace jamais. Utiliser uniquement une extension Chrome en pensant être couvert, c’est se raconter une histoire.
Un VPN ne rend pas anonyme, et il faut arrêter de le vendre comme tel
Un tunnel concentre toute ta navigation sous une seule IP de sortie. Chez un fournisseur payant, cette IP est liée à un compte, souvent vérifié par carte bancaire. Résultat : ton fournisseur VPN peut reconstituer un journal de session plus précis que celui que ton opérateur d’accès aurait eu sans tunnel.
L’anonymat et la confidentialité du transport sont deux choses différentes. Le tunnel cache ton trafic à l’opérateur local, il ne te fait pas disparaître. Ajoute à ça que le phishing contourne totalement le chiffrement : si tu tapes ton mot de passe sur un faux site, aucun VPN au monde ne te sauvera.
La seule combinaison qui tient debout : VPN système, mots de passe uniques et robustes, authentification à deux facteurs partout, et un minimum de méfiance face aux liens inconnus.
WiFi public : le seul cas où le VPN n’est pas négociable
Sur un réseau d’hôtel, d’aéroport ou de coworking, tout le monde partage le même segment. Un attaquant sur place peut intercepter du trafic mal chiffré, empoisonner le DNS ou monter un faux portail captif. Là, un tunnel WireGuard correctement configuré change complètement la donne.
Les autres bénéfices suivent : contournement de géoblocage, protection contre la surveillance de l’opérateur, IP masquée pour les sites qui pistent agressivement. Mais tant que tu acceptes un « VPN gratuit » qui réécrit tes certificats TLS, tu as juste déplacé le problème : ce n’est plus le type du WiFi qui lit ton trafic, c’est l’éditeur de l’appli.
